DATABEHANDLERAVTALE I den grad EVRY og EVRYs tilknyttede selskaper behandler personopplysninger på vegne av Kunden, gjelder denne databehandleravtalen som et tillegg til tjenesteavtalen mellom EVRY og Kunden for å sikre at personopplysninger til enhver tid behandles i samsvar med gjeldende personvernlovgivning. 1. DEFINISJONER «Gjeldende personvernlovgivning»: lovverk som er i kraft eller oppdateres fra tid til annen, som for eksempel personvernforordningen (EU) 2016/679, gjeldende personopplysningslov og gjeldende personopplysningsforskrift. «Behandlingsansvarlig»: en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes. «Databehandler»: en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige. «Behandling» eller «(å) behandle»: enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke. «Personopplysninger»: enhver opplysning om en identifisert eller identifiserbar fysisk person; f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en online-identifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet. «Sensitive Personopplysninger»: personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering. «Brudd på personopplysningssikkerheten»: et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet. «Tilknyttet selskap» til en part: alle juridiske personer som (i) direkte eller indirekte eier eller kontrollerer parten, (ii) har samme direkte eller indirekte eierforhold eller kontroll som parten, eller (iii) direkte eller indirekte styres av parten så lenge som slike eierforhold eller kontrollforhold varer. Eierskap eller kontroll skal foreligge gjennom direkte eller indirekte eierskap på femti prosent (50 %) eller mer av den nominelle verdien av den utstedte eierandelskapitalen eller på femti prosent (50 %) eller mer av aksjene som gir innehaveren rett til å stemme ved valg av styremedlemmer eller personer som utfører lignende funksjoner. «Underleverandør»: ethvert annet selskap som behandler personopplysninger på vegne av EVRY i forbindelse med aktuelle tjenester. 1
2. BEHANDLING AV PERSONOPPLYSNINGER EVRY vil kun behandle personopplysninger i samsvar med gjeldende lov, tjenesteavtalen, denne databehandler avtalen og Kundens dokumenterte instruksjoner. Unntaket er dersom norsk lov pålegger databehandleren en konkret behandling av personopplysninger. EVRY skal føre protokoll over alle kategorier av behandlingsaktiviteter utført på vegne av Kunden, som inneholder: a) navn og kontaktinformasjon til EVRY og personvernombud; b) kategorier av behandling utført på vegne av Kunden; c) eventuell overføring av personopplysninger til et tredje land, inkludert identifikasjon av land og egnede beskyttelsestiltak; og d) der det er mulig; en generell beskrivelse av de tekniske og organisasjonsmessige sikkerhetstiltakene. EVRY forplikter seg til å ikke: a) samle inn eller offentliggjøre personopplysninger fra eller til en tredjepart unntatt i henhold til det som beskrives i denne databehandler vedlegget, b) endre behandlingsmåten, c) kopiere eller reprodusere personopplysninger annet enn nødvendig for utførelsen av skytjenesten, d) kompilere eller sortere personopplysninger, eller på annen måte behandle personopplysninger for andre formål enn de som er angitt i hovedavtalen og denne databehandleravtalen. EVRY er ansvarlig for at alt personell som behandler personopplysninger på vegne av Kunden følger forpliktelsene i dette databehandler vedlegget. Dersom EVRY mener at Kundens instruksjoner er i strid med personvernlovgivningen, vil EVRY umiddelbart informere Kunden om dette og avvente nærmere avklaringer. 3. INNSYN Kunden har tilgang til verktøy for å administrere lagrede personopplysninger og oppfylle Kundens forpliktelser vedrørende individets rettigheter. Dette inkluderer, men er ikke begrenset til, rett til korrigering og sletting, rett til dataportabilitet, innsigelsesrett og rett til begrensning av behandling. I tilfeller der en registrert person, en tilsynsmyndighet eller tredjepart ber om informasjon relatert til personopplysninger fra EVRY, vil EVRY uten ugrunnet opphold henvise til Kunden. EVRY skal bistå Kunden med det som er nødvendig for å møte forespørsler fra registrerte personer og tilsynsmyndigheter. Slik bistand faktureres i henhold til medgått tid og faktiske kostnader. 4. TEKNISKE, ORGANISATORISKE OG SIKKERHETSMESSIGE TILTAK Tjenester og programvare fra Microsoft, Google, Amazon Web Services og IBM leveres som en skytjeneste uten behov for integrering i Kundens systemer eller på EVRY Cloud Services plattform. Data vil være lagret i regionen/landet valgt fra den respektive leverandør og som angitt i Vedlegg 1. EVRY skal iverksette hensiktsmessige tekniske og organisatoriske tiltak for å ivareta sikkerheten rundt behandlingen av personopplysninger i avtalte skytjenester. Det skal tas hensyn til tilgjengelig teknologi, kostnader for gjennomføring, art, omfang, kontekst og formålet med behandlingen. Slike tiltak kan blant annet omfatte: a) anonymisering og kryptering av personopplysninger, der det er mulig og tilbudt som en del av tjenesten; b) konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemer og tjenester; c) muligheten til å gjenopprette tilgjengelighet og tilgang til personopplysninger så raskt som mulig i tilfelle fysiske eller tekniske hendelser; og d) regelmessig testing, vurdering og evaluering av effektiviteten til tekniske og organisasjonsmessige tiltak for å sikre at sikkerheten ivaretas under behandlingen. 2
Ved vurderingen av tilfredsstillende sikkerhetsnivå skal det tas spesielt hensyn til risikoen i forbindelse med utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet. EVRY er ISO 27001 sertifisert. Det foretas årlig en tredjeparts revisjon av internkontrollen i driftsmiljøene. Slik revisjon og rapportering gjøres i henhold til en internasjonal attestasjonsstandard, ISAE3402, og rapporten vil være tilgjengelig for Kunden på forespørsel som en betalbar tjeneste. Særlige sikkerhetsbehov ved håndtering av sensitive personopplysninger skal meldes inn til cloud@evry.com og endringer til tjenesteavtalen vil være nødvendig. EVRY vil, tatt i betraktning aktuell tjeneste og den informasjonen som er tilgjengelig, bistå Kunden med å oppfylle kravene til personvernkonsekvensvurdering (Data Protection Impact Assessment) og forhåndsdrøftinger etter personvernforordningens artikkel 35 og 36 ved å gjøre tilgjengelig informasjon som nevnt i dette punkt 3. 4. KONTROLL OG GJENNOMGANG Kunden eller Kundens representant kan kreve en årlig kontroll og gjennomgang hos EVRY for å sikre at betingelsene i databehandler avtalen oppfylles. I forbindelse med en slik gjennomgang skal Kunden gis tilgang til EVRY s lokaler, datautstyr, sikkerhetspolicyer og lignende i den grad det er nødvendig for å utføre kontroll og gjennomgang. Det vil ikke gis tilgang til informasjon om øvrige kunder eller annen informasjon underlagt taushetsplikt. Tilsyn kan også gjennomføres etter behov. Kontroll, gjennomgang og tilsyn vil faktureres Kunden etter medgått tid og faktiske kostnader. Personer eller tredjeparter som får tilgang til informasjon av EVRY skal undertegne en taushetserklæring som omfatter kontrollen og gjennomgangen. 5. HENDELSESHÅNDTERING OG VARSLING VED BRUDD PÅ PERSONOPPLYSNINGSSIKKERHET I tilfelle brudd på personopplysningssikkerheten vil EVRY uten ugrunnet opphold etter å ha blitt klar over det, varsle Kunden om bruddet på personopplysningssikkerheten. Varsel om brudd på personopplysningssikkerheten skal som minimum: a) beskrive omfanget av bruddet på personopplysningssikkerheten inkludert, der hvor det er mulig, kategorier og omtrentlig antall registrerte som er berørt, samt kategorier og omtrentlig antall berørte personlige dataposter; b) kommunisere navnet og kontaktinformasjon til personvernombud eller annet kontaktpunkt hvor mer informasjon kan hentes; c) beskrive de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten; d) beskrive de tiltakene som iverksettes eller foreslås iverksatt for å håndtere bruddet på personopplysningssikkerheten, blant annet, når det er hensiktsmessig, tiltak for å redusere mulige uønskede bivirkninger; og e) enhver annen nødvendig og rimelig tilgjengelig informasjon som Kunden trenger for å være i stand til å treffe hensiktsmessige tiltak og oppfylle sine forpliktelser for varsling om bruddet på personopplysningssikkerheten til relevante tilsynsmyndigheter. EVRY skal dokumentere bruddet på personopplysningssikkerheten, inkludert en redegjørelse for de faktiske forhold knyttet til bruddet, dets virkninger og eventuelle iverksatte utbedringstiltak. 3
6. UNDERLEVERANDØRER OG OVERFØRING TIL TREDJELAND Kunden gir herved EVRY generell autorisasjon til å benytte andre databehandlere, som EVRYs tilknyttede selskaper, programvareleverandører, infrastrukturleverandører, driftsleverandører og andre, både innen EU og i tredjeland. Forutsetningen er at underleverandører er underlagt like strenge vilkår og krav til sikkerhet som EVRY. EVRY skal holde en oppdatert liste over identiteten og plasseringen av underleverandører, og til enhver tid være ansvarlig for underleverandørenes etterlevelse av bestemmelsene i denne databehandler avtalen. EVRY skal underrette Kunden ved eventuelle planer om å benytte andre underleverandører enn de som er nevnt i vedlegg 1 i god tid før endringen trer i kraft. Kunden skal ha mulighet til å motsette seg endringene, og skal meddele EVRY om dette om (2 uker) etter underretningen er mottatt. Dersom Kunden motsettelser seg endringer av underleverandører, kan det medføre stopp i leveransen av tjenesten. For overføring av personopplysninger til tilknyttede selskaper og underleverandører i tredjeland, skal EUs standardkontrakter eller annet gyldig rettsgrunnlag som beskriver omfanget av engasjementet, være inngått mellom Kunden og det aktuelle selskapet på stedet. Kunden gir herved EVRY en generell autorisasjon til å inngå data eksport avtaler på vegne av Kunden med aktuell underleverandør der det er nødvendig. EVRY vil på forespørsel fremlegge nødvendig dokumentasjon om sikkerhet, samsvar og risiko knyttet til aktuelt selskap og plassering til Kunden og/ eller tilsynsmyndighet. 7. ANSVAR Brudd på personvernlovgivningen reguleres av ansvarsbestemmelsene i hovedavtalen. EVRY skal være fritatt for ansvar i den grad EVRY ikke er ansvarlig for, eller årsaken til, hendelsen eller omstendigheten som gir opphav til bruddet. 8. TAUSHETSPLIKT EVRY skal sikre at personopplysninger bare kan behandles av personell som er underlagt taushetsplikt og kun i den grad det er nødvendig for å oppfylle EVRY s forpliktelser i henhold til tjenesteavtalen. EVRY, etter anmodning fra Kunden, dokumentere at relevant personell har signert taushetserklæring. Taushetsplikten gjelder også etter at databehandleroppdraget er fullført. 9. BETINGELSER OG ENDRINGER I DATABEHANDLERAVTALEN Dette databehandler vedlegget gjelder fra aksept og så lenge Kunden benytter EVRY Cloud Services. Dersom endringer til databehandler vedlegget er nødvendig ved for eksempel endringer i gjeldende lov eller i tjenestene, vil EVRY oppdatere og distribuere ny databehandler avtale for Kundens aksept. Signatur: EVRY Norge AS Rune Kilstad Senior Vice President 4
VEDLEGG 1: PERSONOPPLYSNINGER Tjeneste Data lagres i: Underleverandør Driftes/supporters fra : Cloud ID (SSO) Norge - EU Cloud 365 Norge - EU Cloud Compute Norge - Norge CRM Norge - Norge Database Norge - Norge G-Suite* EU Google EU/Globalt Hosted Exchange Norge - EU Azure Stack Norge/Sverige - Norge / Sverige / EU Azure Pack Norge - Norge/ EU Skype for Business Norge - EU Mailvask* Norge/Sverige Fusemail EU Sharepoint Norge - Norge Veeam Cloud Connect Norge - Norge Webhotell Norge - Norge Office 365* EU Microsoft EU/Globalt Amazon Web Services* EU Amazon EU/Globalt * Tredjepart skytjenesteleverandør s betingelser gjelder Hvilke personopplysninger behandles: Formålet med behandlingen av personopplysninger: Hvilke behandlinger omfattes: Har det inngått data eksport avtale med underleverandør om overføring av personopplysninger til land utenfor EU/EØS? Hvordan og når slettes personopplysningene? Alle personopplysninger som Kunden registrerer om ansatte, medlemmer, kunder, pasienter, elever og lignende, som kan inkludere (men ikke nødvendigvis begrenset til) navn, telefonnummer, fødselsdato, kjøpshistorikk, kundenummer, logginformasjon og så videre. Sikre levering og support av skytjenestene som beskrevet i tjenesteavtalen, inkludert men ikke begrenset til å lagre kundedata og personopplysninger i skyløsning. Behandlingen av personopplysninger på vegne av Kunden består i å stille skytjenesten til rådighet, hvor Kunden selv kan registrere og vedlikeholde informasjon inkludert personopplysninger. EVRY vil utføre nødvendig vedlikehold av skytjenestene og gi autorisert personell tilgang til support av Kundens løsning. Personopplysninger behandles i de land/regioner der Kunden har valgt å legge sine data, eller der tjenesten produseres i henhold til tjenesteavtalen. Alle personopplysninger, inkludert alle kopier, vil bli slettet eller returnert etter 30 dager når avtaleforholdet er avsluttet, eller dersom den Kunden (Behandlingsansvarlig) skriftlig anmoder om det. Personopplysninger som kreves lagret ved lov eller for dokumenteringsformål, vil bli slettet når slikt formål er oppfylt. 5